CVE-2023-0460
Açıklama
YouTube Embedded 1.2 SDK, YouTube Main App içindeki bir servise bağlanır. Bağlanma işleminden sonra, Context.CONTEXT_INCLUDE_CODE | Context.CONTEXT_IGNORE_SECURITY bayraklarıyla uzak bir bağlam (remote context) oluşturulur. Bu durum, istemci uygulamanın Main App'in ClassLoader'ını alarak YouTube Main App'ten uzaktan kod yüklemesine olanak tanır. İstemci SDK tarafından kullanılan bağlanma mantığında, SDK'nın YT Main App yerine kötü amaçlı bir uygulama üzerinde bindService() fonksiyonunu çağırmasıyla sonuçlanan potansiyel bir güvenlik açığı bulunmaktadır. Bu durum, SDK'nın bunun yerine kötü amaçlı uygulamanın ClassLoader'ını yükleyebileceği bir açık oluşturur ve gömülü SDK her çağrıldığında kötü amaçlı uygulamanın, çağıran uygulamaya rastgele kod yüklemesine izin verir. Bu güvenlik açığını tetiklemek için bir saldırganın, Youtube uygulamasını taklit etmesi ve onu bir cihaza yüklemesi, Embedded oynatıcıyı kullanan ikinci bir uygulamaya sahip olması ve genellikle her ikisini de kurban cihazına Play Store dışından dağıtması gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google youtube_android_player_api | 1.2 ≤ v ≤ 1.2.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.